2.2.2 Неформальная модель нарушителя

Нарушитель - это лицо, которое предприняло попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства.

При разделении нарушителей безопасности по классам можно исходить из их принадлежности определенным категориям лиц, мотивов действий и преследуемых целей, характера методов достижения поставленных целей, квалификации, технической оснащенности и знаний об атакуемой информационной системе.

В первую очередь нарушителей можно разделить на внутренних и внешних. Потенциально к внутренним нарушителям относятся сотрудники местной администрации или сотрудники организаций из сферы ИТ, предоставляющие администрации аутсорсинговые телекоммуникационные и иные информационные услуги.

Среди внутренних нарушителей в первую очередь можно выделить следующие категории:

1. Непосредственные пользователи и операторы информационной системы, в том числе руководители различных уровней.

2. Администраторы ЛВС и информационной безопасности.

3. Программисты.

4. Технический персонал по обслуживанию зданий и вычислительной техники, от уборщицы до ремонтной бригады.

5. Вспомогательный персонал и временные работники.

6. Специально внедренные агенты.

Среди причин, побуждающих сотрудников к неправомерным действиям, можно указать следующие факторы:

1. Безответственность персонала.

2. Ошибки пользователей и администраторов.

3. Корыстные интересы пользователей системы.

4. Недостатки используемых информационных технологий.

Для предотвращения нарушений необходимо проводить специальную подготовку персонала, поддерживать здоровый рабочий климат в коллективе, проводить тщательный отбор нанимаемых сотрудников, своевременно обнаруживать злоумышленников.

Группу внешних нарушителей могут составлять:

1. Приглашенные посетители.

2. Представители конкурирующих организаций.

3. Сотрудники органов ведомственного надзора и управления.

4. Нарушители пропускного режима.

5. Наблюдатели за пределами охраняемой территории.

6. Криминальные структуры.

7. Недобросовестные партнеры.

По рекомендации экспертов в области информационной безопасности, особое внимание следует обращать на вновь принимаемых сотрудников в следующих профессиях: администраторы, программисты, специалисты в области компьютерной техники и защиты информации. Чрезвычайную опасность представляют специалисты подобного уровня при вхождении в сговор с руководством подразделений и службы безопасности, а также с организованными преступными группами. В данном случае возможный ущерб и тяжесть последствий многократно увеличиваются.

Руководство местной администрации должно четко определять, от каких видов нарушений необходимо защититься в первую очередь.

Кроме того, можно провести классификацию нарушителей по используемым методам и средствам:

1. Сбор информации и данных.

2. Пассивные средства перехвата.

3. Использование средств, входящих в информационную систему или систему ее защиты, и их недостатки.

4. Активное отслеживание модификаций существующих средств обработки информации, подключение новых средств, использование специализированных утилит, внедрение программных закладок и «черных ходов» в систему, подключение к каналам передачи данных.

По уровню знаний нарушителя об организации информационной структуры можно выделить следующие категории:

1. Типовые знания о методах построения вычислительных систем, сетевых протоколов, использование стандартного набора программ.

2. Высокий уровень знаний сетевых технологий, опыт работы со специализированными программными продуктами и утилитами.

3. Высокие знания в области программирования, системного проектирования и эксплуатации вычислительных систем.

4. Обладание сведениями о средствах и механизмах защиты атакуемой системы.

5. Нарушитель являлся разработчиком или принимал участие в реализации системы обеспечения информационной безопасности.

По времени информационного воздействия нарушитель может действовать:

1. В момент обработки информации.

2. В момент передачи данных.

3. В процессе хранения данных (учитывая рабочее и нерабочее состояния системы).

По месту осуществления воздействия:

1. Удаленно с использованием перехвата информации, передающейся по каналам передачи данных, или без ее использования.

2. Доступ на охраняемую территорию.

3. Непосредственный физический контакт с вычислительной техникой, при этом можно выделить:

3.1 Доступ к терминальным операторским станциям.

3.2 Доступ к важным сервисам предприятия (сервера).

3.3 Доступ к системам администрирования, контроля и управления информационной системой.

3.4 Доступ к программам управления системы обеспечения информационной безопасности.

Схема классификации нарушителей приведена в приложении 4. В таблице 2 представлена обобщенная модель нарушителя. Таблица 3 содержит описание возможностей нарушителей.

Таблица 2 - Обобщенная модель нарушителя

Положение в системе	Квалификация	Уровень возможностей	Описание
Внутренний	Низкая – высокая	I	Пользователи, операторы, из числа сотрудников и временных работников.
	Высокая	II	Прикладные программисты.
	Высокая	III	Администраторы БД и пользователи, обладающие неограниченными полномочиями относительно доступа к данным
	Высокая	IV	Администраторы вычислительной сети
	Низкая	Не имеют легального доступа к ИСПДн	Технический, обслуживающий персонал (уборщицы, водители и т.п.)

Внешний	Низкая – высокая	Не имеют легального доступа к ИСПДн	Нарушители пропускного режима, временные работники (не специалисты по тех. и прог. средствам АС), посетители, представители органов надзора и управления.
	Низкая - высокая	Не имеют доступа легального доступа к ИСПДн	Нарушители за пределами охраняемой территории: хакеры и др. удаленные нарушители
Внешний	Высокая	Получают временный доступ по уровням I-IV	Специалисты сторонних организаций, осуществляющих поставку, монтаж и ремонт оборудования вычислительной системы.

продолжение таблицы 2.

Таблица 3 - Уровни возможностей нарушителей

Уровень	Возможности нарушителя
I	Запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации
II	Создание и запуск собственных программ с новыми функциями по обработке информации
III	Управление функционированием ИСПДн, т.е. воздействие на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования
IV	Весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств ИСПДн, вплоть до включения в состав системы собственных технических средств с новыми функциями по обработке информации

продолжение таблицы 3.